Quién responde si un proveedor usa datos de clientes por fuera del servicio contratado

Sí hay un riesgo jurídico y operativo serio cuando un proveedor usa datos de clientes por fuera del servicio contratado. La empresa no debería limitarse a preguntar si hubo mala fe: primero debe verificar qué datos se compartieron, para qué finalidad se entregaron, bajo qué instrucciones operó el proveedor y qué evidencia existe del uso adicional.

En términos prácticos, la primera pregunta útil no es “¿a quién demandamos?”, sino esta: ¿el proveedor actuó dentro del alcance del contrato o empezó a usar la información para una finalidad distinta?

Un ejemplo rápido para aterrizar el problema

Ejemplo orientativo. Una empresa contrata a un proveedor para atender confirmaciones de entrega y soporte posventa. Meses después descubre que ese proveedor también usó la base de clientes para enviar promociones de otros negocios aliados. Aunque el proveedor alegue que ya tenía acceso autorizado a la base, eso no significa que pudiera usarla para cualquier propósito.

Según el texto oficial verificado de la Ley 1581 de 2012, el tratamiento de datos personales es una actividad reglada y debe sujetarse, entre otros, al principio de finalidad, que exige que el tratamiento obedezca a una finalidad legítima informada al titular, así como al principio de libertad, que exige consentimiento previo, expreso e informado, y al principio de acceso y circulación restringida. Si el proveedor se sale del uso autorizado, el problema no se resuelve diciendo que “ya tenía la base”.

Qué debería revisar la empresa de inmediato

Antes de sacar conclusiones, revise estos cinco puntos:

• Qué datos compartió realmente: No es lo mismo entregar nombres y teléfonos para coordinar entregas que compartir historial de compras, hábitos de consumo o reclamaciones.
• Cuál era la finalidad documentada: Revise contrato, anexo, correos de instrucción, orden de servicio o política interna.
• Quién decidió el tratamiento: Identifique si la empresa daba instrucciones concretas o si el proveedor empezó a decidir usos por su cuenta.
• Qué prueba existe del uso adicional: Campañas enviadas, mensajes, exportaciones, reportes, integraciones, usuarios habilitados o trazabilidad del CRM.
• Si hubo otros terceros involucrados: A veces el proveedor no usa directamente la base, sino que la comparte con aliados, call centers o plataformas externas.

Criterios concretos para saber si hay desborde del servicio contratado

1. La finalidad real no coincide con la finalidad autorizada

Si la información se entregó para soporte, recaudo, logística o atención al cliente, pero terminó usándose para mercadeo propio del proveedor, perfilamiento comercial o contacto para negocios distintos, hay una señal clara de desalineación.

La Ley 1581 de 2012, en el extracto verificado, define además tratamiento como cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión. Eso importa porque el problema no siempre es una filtración abierta: también puede existir por un uso interno no autorizado.

2. El proveedor empezó a decidir por sí mismo

Cuando el proveedor deja de ejecutar instrucciones y empieza a definir fines, públicos, mensajes o destinatarios, el riesgo sube. Aunque en cada caso hay que revisar documentos y operación real, desde gerencia conviene detectar rápido cuándo el tercero dejó de ser un ejecutor controlado y empezó a comportarse como dueño del uso de la información.

3. El contrato es ambiguo o demasiado corto

Muchas empresas firman órdenes de servicio con descripciones mínimas como “gestión comercial”, “apoyo operativo” o “atención de clientes”, sin detallar límites de uso, canales, bases autorizadas ni restricciones. Allí aparecen después discusiones sobre lo que el proveedor “entendió” que podía hacer.

El Código de Comercio indica en su artículo 4, según el texto oficial consultado, que las estipulaciones de los contratos válidamente celebrados prefieren a las normas legales supletivas y a las costumbres mercantiles. En la práctica, esto vuelve clave dejar por escrito el alcance, los entregables, las instrucciones y las limitaciones de uso de la información.

4. No hay evidencia de instrucciones internas

Aun si el contrato es aceptable, la empresa queda expuesta cuando ventas, cartera, servicio al cliente y mercadeo comparten bases con proveedores sin una ruta uniforme de autorización. El problema no siempre nace en el tercero; a veces nace en la desorganización interna.

Modelo orientativo de cláusula de uso limitado de datos

Ejemplo orientativo. Debe ajustarse al servicio y a la operación real de la empresa.

Uso limitado de información y datos asociados al servicio. El proveedor solo podrá usar la información y los datos a los que tenga acceso con ocasión del contrato para ejecutar las actividades expresamente encomendadas por la empresa contratante. En consecuencia, no podrá emplearlos para fines comerciales propios, actividades de mercadeo ajenas al servicio, contacto con clientes por cuenta distinta de la contratante, análisis no instruidos, circulación a terceros ni integración con otras bases, salvo autorización previa y escrita de la contratante.

Cualquier uso adicional deberá constar de manera expresa y documentada. El proveedor deberá conservar evidencia de las instrucciones recibidas y limitar el acceso únicamente al personal que requiera la información para la ejecución del servicio.

Qué documentos conviene reunir si aparece el problema

Para analizar bien el caso, normalmente sirve recopilar:

• Contrato principal y anexos.
• Órdenes de servicio o propuestas aceptadas.
• Correos o mensajes con instrucciones sobre el uso de la base.
• Política interna de tratamiento de datos o lineamientos corporativos aplicables.
• Muestras de campañas, contactos o usos presuntamente no autorizados.
• Bitácoras de acceso, usuarios habilitados o exportaciones de información.
• Relación de áreas internas que compartieron datos con el proveedor.

Error frecuente: discutir solo la culpa y no el control del proceso

Un error común es concentrarse de inmediato en la sanción o en la terminación, sin detenerse a ordenar el frente probatorio y operativo. Antes de tomar decisiones apresuradas, la empresa debería responder con evidencia mínima:

• Qué se autorizó.
• Qué ocurrió en realidad.
• Quién lo permitió internamente.
• Qué riesgo sigue abierto hoy.
• Qué ajustes contractuales deben hacerse para que no se repita.

Ese enfoque evita que el caso quede reducido a versiones enfrentadas entre el proveedor y el área usuaria del servicio.

¿Cómo prevenir que esto se repita?

Estas medidas suelen ayudar más que un formato aislado:

• Definir finalidades por tipo de proveedor: No todos necesitan el mismo nivel de acceso.
• Separar bases por función: Cartera, soporte, logística y mercadeo no deberían operar automáticamente sobre la misma información.
• Aprobar por escrito usos extraordinarios: Si cambia la finalidad, debe quedar documentado.
• Revisar alcance y entregables: Especialmente en proveedores que atienden clientes, cobran, confirman entregas o ejecutan campañas.
• Establecer controles periódicos: Muestras de contactos, auditoría de usuarios y revisión de instrucciones vigentes.

Si su empresa ya viene ordenando estos temas, puede complementar con contenidos relacionados sobre promesas por WhatsApp con clientes y política interna para grupos de WhatsApp laborales, porque buena parte del riesgo aparece justamente en canales de contacto poco controlados.

¿Cuándo conviene apoyo legal mensual?

Si su empresa comparte bases de clientes con varios proveedores, cambia con frecuencia de aliados comerciales o combina servicio al cliente, recaudo, logística y campañas, el problema deja de ser un incidente aislado. Ya es una necesidad recurrente de gerencia: definir alcance, responsables, atención acordada, controles de uso y reglas de terminación.

En ese escenario, suele ser más eficiente trabajar con un esquema de outsourcing legal para empresas que permita revisar contratos, anexos, instrucciones y protocolos de forma periódica. Si necesita revisar un caso concreto o unificar criterios internos entre áreas, también puede escribirnos por contacto.

Fuentes oficiales consultadas

• Ley 1581 de 2012: https://normograma.sena.edu.co/compilacion/docs/ley_1581_2012.htm
• Código de Comercio: https://normograma.sena.edu.co/compilacion/docs/codigo_comercio.htm